Garantia do autenticador NIST nível 1 com ID do Microsoft Entra

Artigo
10/28/2023

O National Institute of Standards and Technology (NIST) desenvolve requisitos técnicos para agências federais dos EUA que implementam soluções de identidade. As organizações devem atender a esses requisitos ao trabalhar com agências federais.

Antes de começar o nível de garantia do autenticador 1 (AAL1), você pode revisar os seguintes recursos:

Visão geral do NIST: Compreender os níveis de AAL
Noções básicas de autenticação: terminologia e tipos de autenticação
Tipos de autenticador NIST: Tipos de autenticador
AALs NIST: componentes AAL, métodos de autenticação Microsoft Entra e TPMs (Trusted Platform Modules).

Tipos de autenticador permitidos

Para obter AAL1, você pode usar qualquer autenticador permitido de fator único ou multifator do NIST.

Método de autenticação Microsoft Entra	Tipo de autenticador NIST
Palavra-passe	Segredo Memorizado
Telefone (SMS): Não recomendado	Fator único fora da banda
Aplicativo Microsoft Authenticator (sem senha)	Multi-fator fora da banda
Certificado de software de fator único	Software de criptografia de fator único
Certificado de Software Multifator (Protegido por PIN) Windows Hello para Empresas com software TPM	Software de criptografia multifator
Certificado protegido por hardware (cartão inteligente/chave de segurança/TPM) Chave de segurança FIDO 2 Windows Hello para Empresas com TPM de hardware	Hardware de criptografia multifator

Dica

Recomendamos que você selecione, no mínimo, autenticadores AAL2 resistentes a phishing. Selecione autenticadores AAL3 conforme necessário por motivos comerciais, padrões do setor ou requisitos de conformidade.

Validação FIPS 140

Requisitos do verificador

O Microsoft Entra ID usa o módulo criptográfico Windows FIPS 140 Nível 1 para suas operações criptográficas de autenticação. É, portanto, um verificador compatível com FIPS 140 exigido por agências governamentais.

Resistência homem-no-meio

As comunicações entre o requerente e o Microsoft Entra ID são feitas através de um canal autenticado e protegido, para resistir a ataques man-in-the-middle (MitM). Esta configuração satisfaz os requisitos de resistência MitM para AAL1, AAL2 e AAL3.